Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en la implementación de certificados RSA de 512 bits en las actualizaciones del software (BNA) en los Cajeros Automáticos NCR SelfServ con APTRA XFS (CVE-2020-10125)

Fecha de publicación:
21/08/2020
Idioma:
Español
Los Cajeros Automáticos NCR SelfServ que ejecutan APTRA XFS versiones 04.02.01 y 05.01.00, implementan certificados RSA de 512 bits para comprobar las actualizaciones del software (BNA), que pueden ser rotas por un atacante con acceso físico en un período de tiempo suficientemente corto, permitiendo que el atacante firme archivos arbitrarios y archivos CAB utilizados para actualizar el software BNA, así como omitir la lista blanca de aplicaciones, resultando en la capacidad de ejecutar código arbitrario.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en las actualizaciones de software para el bunch note acceptor (BNA) en los Cajeros Automáticos NCR SelfServ con APTRA XFS (CVE-2020-10126)

Fecha de publicación:
21/08/2020
Idioma:
Español
Los Cajeros Automáticos NCR SelfServ que ejecutan APTRA XFS versión 05.01.00, no comprueban apropiadamente las actualizaciones de software para el bunch note acceptor (BNA), permitiendo a un atacante con acceso físico a los componentes internos del Cajero Automático reiniciar el computador host y ejecutar código arbitrario con privilegios SYSTEM porque durante el arranque, el proceso de actualización busca archivos CAB en medios extraíbles y ejecuta un archivo específico sin comprobar primero la firma del archivo CAB.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en el acceso de ruta del directorio del sistema de archivos flash interno en algunos dispositivos de Thales DIS (CVE-2020-15858)

Fecha de publicación:
21/08/2020
Idioma:
Español
Algunos dispositivos de Thales DIS (anteriormente Gemalto, anteriormente Cinterion), permiten un Salto de Directorio a atacantes físicamente próximos. La comprobación de acceso de ruta del directorio del sistema de archivos flash interno puede ser omitido. Este sistema de archivos flash puede almacenar datos específicos de la aplicación y los datos necesarios para las aplicaciones Java del cliente, la funcionalidad TLS y OTAP (aprovisionamiento por aire de Java). Los productos y versiones afectados son: BGS5 versión hasta e incluyendo a SW RN 02.000 / ARN 01.001.06, EHSx y PDSx versión hasta e incluyendo a SW RN 04.003 / ARN 01.000.04, ELS61 versión hasta e incluyendo a SW RN 02.002 / ARN 01.000.04, ELS81 versión hasta e incluyendo a SW RN 05.002 / ARN 01.000.04, PLS62 versión hasta e incluyendo a SW RN 02.000 / ARN 01.000.04
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en la Consola de Administración en WSO2 API Manager y API Microgateway (CVE-2020-24590)

Fecha de publicación:
21/08/2020
Idioma:
Español
La Consola de Administración en WSO2 API Manager versiones hasta 3.1.0 y API Microgateway versión 2.2.0, permite un ataque de tipo XML Entity Expansion.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
27/08/2020

Vulnerabilidad en la Consola de Administración en las actualizaciones de EventReceiver en determinados productos WSO2 (CVE-2020-24591)

Fecha de publicación:
21/08/2020
Idioma:
Español
La Consola de Administración en determinados productos WSO2, permite ataques de tipo XXE durante las actualizaciones de EventReceiver. Esto afecta a la API Manager versiones hasta 3.0.0, la API Manager Analytics versiones 2.2.0 y 2.5.0, la API Microgateway versión 2.2.0, Enterprise Integrator versiones 6.2.0 y 6.3.0 e Identity Server Analytics versiones hasta 5.6.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/04/2022

Vulnerabilidad en la Consola de Administración en WSO2 API Manager y API Microgateway (CVE-2020-24589)

Fecha de publicación:
21/08/2020
Idioma:
Español
La Consola de Administración en WSO2 API Manager versiones hasta 3.1.0 y API Microgateway versión 2.2.0, permite ataques de tipo XML External Entity injection (XXE).
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
21/07/2021

Vulnerabilidad en el servicio SSH en ALEOS (CVE-2019-11862)

Fecha de publicación:
21/08/2020
Idioma:
Español
El servicio SSH en ALEOS versiones anteriores a 4.12.0, 4.9.5, 4.4.9, permite un proxy del tráfico.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en el archivo societe/document.php en Dolibarr CRM (CVE-2020-14201)

Fecha de publicación:
21/08/2020
Idioma:
Español
Dolibarr CRM versiones anteriores a 11.0.5, permite una escalada de privilegios. Esto podría permitir a atacantes autenticados remotos cargar archivos arbitrarios por medio del archivo societe/document.php en los que "disabled" es cambiado a "enabled" en el código fuente HTML.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en el shell de comandos en ALEOS (CVE-2019-11847)

Fecha de publicación:
21/08/2020
Idioma:
Español
Se presenta una vulnerabilidad de administración de privilegios inapropiada en ALEOS versiones anteriores a 4.11.0, 4.9.4 y 4.4.9. Un usuario autenticado puede escalar a root por medio del shell de comandos.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/06/2026

Vulnerabilidad en comprobación de longitud en la API de comando AT de ALEOS (CVE-2019-11848)

Fecha de publicación:
21/08/2020
Idioma:
Español
Se presenta una vulnerabilidad de abuso de API en la API de comando AT de ALEOS versiones anteriores a 4.13.0, 4.9.5, 4.4.9, debido a un fallo de comprobación de longitud al manejar determinados valores proporcionados por el usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en las API de comando AT de ALEOS (CVE-2019-11849)

Fecha de publicación:
21/08/2020
Idioma:
Español
Se presenta una vulnerabilidad de desbordamiento de pila en las API de comando AT de ALEOS versiones anteriores a 4.11.0. La vulnerabilidad puede permitir una ejecución de código.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026

Vulnerabilidad en la interfaz de comando AT de ALEOS (CVE-2019-11850)

Fecha de publicación:
21/08/2020
Idioma:
Español
Se presenta una vulnerabilidad de desbordamiento de pila en la interfaz de comando AT de ALEOS versiones anteriores a 4.11.0. La vulnerabilidad puede permitir una ejecución de código.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/06/2026